Я заинтересован в наблюдении за выполнением команды перезагрузки / выключения (и пользователя, который выполнил такую команду) с помощью auditd.
Я тестировал следующее правило:
-a exit,always -F arch=b64 -S execve -k my_rule
, когда я выполняю какую-либо команду, он генерирует события системного вызова:
$> ls
$> ausearch -k my_rule
time->Tue Mar 31 07:36:06 2020
type=SYSCALL msg=audit(1585640166.203:1186): arch=c000003e syscall=59 success=yes exit=0 a0=97c1c0 a1=a0d080 a2=9f7de0 a3=7ffe54a5de60 items=2 ppid=11024 pid=11088 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts1 ses=4 comm="ls" exe="/usr/bin/ls" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="my_rule"
Но, если я выполняю команда перезагрузки, она не генерирует никаких событий. Я не могу найти причину этого или другого решения.
Любая помощь будет приветствоваться, спасибо.